Perché gli agenti AI non possono ancora proteggere altri agenti AI
L’intelligenza artificiale sta rapidamente passando dalla fase in cui generava testi, immagini o risposte a domande a agenti AI in grado di agire autonomamente negli ambienti digitali di un’organizzazione.
Gli agenti AI possono utilizzare strumenti software, possono chiamare API, possono accedere a informazioni interne e, in determinate configurazioni, possono modificare dati o eseguire azioni nei sistemi aziendali. Questa evoluzione trasforma radicalmente il modo in cui le aziende devono affrontare la sicurezza informatica.
In questo contesto sorge un’idea apparentemente logica: se il numero degli agenti AI aumenta, perché non utilizzare altri agenti AI per monitorarli e proteggerli?
Il problema è che questa strategia può introdurre un nuovo livello di complessità e può addirittura ampliare la superficie di attacco, invece di ridurla.
Perché l’uso di agenti AI per la sicurezza è problematico
Uno dei principali problemi è la natura probabilistica dei modelli linguistici di grandi dimensioni (LLM).
Un sistema AI genera risultati sulla base di probabilità e schemi appresi. Al contrario, i controlli di sicurezza critici devono, in molte situazioni, fornire risultati prevedibili e ripetibili.
La differenza è fondamentale.
Un agente AI può interpretare erroneamente una situazione e considerare sicura un’azione che non dovrebbe essere consentita. Al contrario, può bloccare un’operazione legittima e importante per l’azienda.
In uno scenario ad alto rischio, una decisione sbagliata può significare la cancellazione di dati, la modifica di risorse digitali, l’accesso a informazioni riservate o l’interruzione di un processo operativo.
Per questo motivo, un modello probabilistico non dovrebbe essere l’unico meccanismo a definire un confine di sicurezza deterministico.
Ciò non significa che l’intelligenza artificiale non abbia un ruolo importante nella cybersecurity. Al contrario. L’AI può essere estremamente utile per identificare comportamenti anomali, indagare su allerta e analizzare situazioni complesse che le regole statiche possono trascurare.
La differenza sta nel ruolo che riceve l’AI.
Agenti AI che proteggono agenti AI
Un altro problema è la proliferazione degli agenti AI. Man mano che le organizzazioni implementano sempre più agenti, la tentazione naturale è quella di aggiungere altri sistemi AI per monitoraggio, verifica e riparazione.
Questo modello può generare una proliferazione difficile da controllare di agenti, permessi, integrazioni e meccanismi di monitoraggio.
Ogni agente AI aggiuntivo può avere:
- i propri permessi;
- le proprie connessioni API;
- accesso a determinati dati;
- il proprio contesto;
- costi di elaborazione;
- latenza aggiuntiva;
- nuovi punti che devono essere monitorati e protetti.
Invece di semplificare l’architettura di sicurezza, una rete di agenti che monitorano altri agenti può rendere il sistema più difficile da comprendere.
Inoltre, quando un agente difensivo interpreta le azioni di un altro agente, il team di sicurezza deve essere in grado di determinare perché è stata presa ogni decisione e quale controllo ha consentito o bloccato l’azione.
Questa tracciabilità è essenziale per audit, risposta agli incidenti e conformità.
Come possono essere protetti gli agenti AI?
Prima che un’azienda possa controllare gli agenti AI, deve sapere dove si trovano e cosa fanno. L’inventario degli agenti autorizzati rappresenta un punto di partenza, ma non è sufficiente.
Negli organizzazioni possono apparire agenti adottati da dipendenti o da reparti senza il coinvolgimento diretto del team centrale IT. Possono anche esserci funzioni AI integrate in applicazioni SaaS e altri servizi che non sono immediatamente percepiti come “agenti AI”.
Questo fenomeno è frequentemente associato al termine shadow AI.
Il divieto totale di questi strumenti non è necessariamente una soluzione efficace. In alcuni casi, gli utenti possono continuare a utilizzarli al di fuori dei processi ufficiali di governance.
Una strategia più solida implica l’identificazione e la classificazione degli agenti in base al rischio.
Ad esempio, la priorità dovrebbe essere data agli agenti AI che:
- elaborano informazioni sensibili;
- hanno accesso a sistemi interni;
- possono modificare o cancellare dati;
- possono comunicare esternamente;
- possono avviare transazioni finanziarie;
- possono modificare sistemi critici.
Identità e principio del “least privilege” diventano essenziali
Ogni agente AI dovrebbe avere un identità verificabile, un proprietario chiaro e un insieme di permessi rigorosamente delimitato.
Il principio del “least privilege”, l’attribuzione del livello minimo di accesso necessario per completare un compito, diventa ancora più importante in un ecosistema con agenti autonomi.
Un agente che deve solo consultare un profilo cliente non dovrebbe poter modificare quel profilo.
Allo stesso modo, un agente che ha bisogno di accesso a un certo conto o insieme di dati non dovrebbe ricevere automaticamente accesso all’intero database.
Questa separazione può limitare l’impatto di un errore, di una configurazione errata o di un tentativo di manomissione dell’agente.
Le API e il MCP devono essere controllati a livello di esecuzione
Man mano che gli agenti AI interagiscono con strumenti, API e standard come il Model Context Protocol (MCP), la sicurezza non può più concentrarsi esclusivamente sui prompt.
Il filtraggio dei prompt può identificare alcune istruzioni sospette, ma non può rispondere da sola alla domanda fondamentale:
Gli agenti AI hanno il diritto di eseguire questa azione?
La risposta deve essere supportata da controlli di runtime. Le organizzazioni possono utilizzare liste di permessi, restrizioni sui parametri, autorizzazione basata sull’identità e verifiche delle politiche prima che un agente possa chiamare uno strumento.
Ad esempio, un agente può avere il permesso di leggere i dati di un cliente, ma non di modificarli. Oppure può consultare solo i dati associati a un certo identificatore, non l’intero database.
Questi meccanismi riducono la possibilità che un’istruzione malevola o un’interazione inaspettata porti all’espansione dei privilegi dell’agente.
Non tutte le azioni degli agenti AI devono essere trattate con lo stesso livello di rischio
Un errore comune nella progettazione della sicurezza AI è cercare di proteggere tutte le interazioni allo stesso modo. Un approccio basato sul rischio è più efficace.
Le organizzazioni dovrebbero iniziare con i flussi che possono produrre le conseguenze più gravi per l’azienda: dati sensibili, comunicazioni esterne, transazioni finanziarie e modifiche ai sistemi critici.
Per queste aree possono essere implementati controlli aggiuntivi, inclusi:
- regole deterministiche;
- validazione dei parametri;
- liste di permessi;
- politiche di autorizzazione;
- controlli contro il prompt injection;
- meccanismi di prevenzione della perdita di dati (DLP);
- audit completo delle azioni;
- backup per i sistemi accessibili agli agenti;
- processi di approvazione umana per operazioni critiche.
Cosa significa questo per le aziende?
Il messaggio importante per le organizzazioni non è che l’AI non possa essere utilizzata per la sicurezza. Al contrario, l’AI può diventare uno strumento prezioso per i team di cybersecurity, ma non dovrebbe essere confusa con un sostituto universale per i controlli deterministici.
Un modello AI può aiutare a dare priorità agli avvisi, correlare eventi e indagare su comportamenti complessi. Ma le decisioni con un impatto significativo devono essere inquadrate da politiche e meccanismi tecnici verificabili.
In altre parole, l’architettura di sicurezza dovrebbe partire dalla domanda:
“Cosa ha il permesso di fare l’agente?”
e non solo da:
“Come possiamo usare l’AI per monitorare l’agente?”
Questo cambiamento di prospettiva è essenziale per sviluppare una strategia di sicurezza AI affidabile.
Il futuro della sicurezza informatica basato su agenti AI
AI agentico può portare benefici significativi per l’automazione dei processi aziendali, ma l’autonomia aggiuntiva porta con sé responsabilità di sicurezza aggiuntive.
Utilizzare un agente AI per proteggere un altro agente può sembrare una soluzione elegante, ma introduce rischi quando i sistemi probabilistici assumono la responsabilità di imporre controlli che devono essere prevedibili.
Una strategia più robusta inizia con visibilità, identità, controllo degli accessi e politiche deterministiche di runtime. Gli agenti devono essere inventariati, associati a proprietari e limitati ai permessi strettamente necessari.
L’AI può completare questi meccanismi attraverso analisi e rilevamento, ma non dovrebbe essere l’unica linea di difesa.
Per le organizzazioni che adottano AI agentico nel 2026, la regola di base è semplice: più un agente ha autonomia e accesso a sistemi critici, più i controlli di sicurezza devono essere deterministici, verificabili e facili da auditare.
Fonte: computerweekly.com
